一、证书过期前的预防性管理

1.1 证书有效期监控机制

证书的notAfter字段定义了有效期截止时间，运维人员需建立定期检查机制。推荐使用以下方法实现自动化监控：

命令行工具检测：通过openssl s_client -connect example.com:443 -showcerts | openssl x509 -noout -enddate可快速获取证书过期时间
日志服务集成：将证书检查脚本接入日志平台，设置阈值告警（如提前30天触发通知）
可视化看板：在监控系统中创建证书仪表盘，集中展示所有域名的有效期状态

典型监控配置示例：

# 每日凌晨执行证书检查
0 0 * * * /usr/bin/cert-monitor --domains "example.com,api.example.com" --warning 30d --critical 7d

1.2 自动化续期方案选型

自动化续期最佳实践：

验证方式选择：HTTP-01验证需确保80端口可访问；DNS-01验证需配置API自动修改DNS记录
部署隔离：续期脚本应运行在独立容器或虚拟机中，避免影响主服务
回滚机制：保留最近3次有效证书副本，续期失败时自动回退

二、证书过期后的应急处理

2.1 紧急替换流程

当证书已过期时，需按以下步骤快速恢复服务：

证书获取：
- 登录证书签发平台（云服务商或CA机构）
- 选择相同域名重新签发（注意选择正确的证书类型：DV/OV/EV）
- 下载证书包（通常包含.crt和.key文件）

服务端配置更新：

# Nginx配置示例
server {
    listen 443 ssl;
    server_name example.com;
    ssl_certificate     /path/to/new_cert.crt;
    ssl_certificate_key /path/to/new_key.key;
    # 其他SSL配置...
}

服务重启验证：
- 执行nginx -t测试配置语法
- 使用systemctl reload nginx平滑重启服务
- 通过curl -vI https://example.com验证证书生效

2.2 浏览器缓存清除

现代浏览器会缓存证书信息，可能导致替换后仍显示过期警告。需指导用户：

强制刷新：Ctrl+F5（Windows）或 Cmd+Shift+R（Mac）
清除SSL状态：浏览器设置 → 隐私与安全 → 清除浏览数据 → 勾选”SSL状态”
使用隐私模式：通过无痕窗口访问验证

三、自动化续期的深度实践

3.1 Certbot高级配置

# 安装Certbot（以Ubuntu为例）
sudo apt install certbot python3-certbot-nginx
# 执行自动化续期（需提前配置Nginx插件）
sudo certbot renew --dry-run  # 测试模式
sudo certbot renew --pre-hook "systemctl stop nginx" --post-hook "systemctl start nginx"

关键参数说明：

--manual-auth-hook：自定义DNS验证脚本
--deploy-hook：续期成功后执行的操作（如通知运维）
--keep-until-expiring：保留旧证书直到即将过期

3.2 acme.sh轻量级方案

# 安装acme.sh
curl https://get.acme.sh | sh
# DNS验证方式示例（以某DNS服务商为例）
export DP_Id="your_id"
export DP_Key="your_key"
acme.sh --issue --dns dns_dp -d example.com -d *.example.com
acme.sh --install-cert -d example.com \
  --key-file /path/to/private.key \
  --fullchain-file /path/to/fullchain.cer \
  --reloadcmd "systemctl reload nginx"

3.3 续期失败处理

四、证书生命周期管理建议

统一管理平台：建议使用密码管理器或专用证书管理服务存储证书私钥
文档标准化：制定《证书管理SOP》，明确申请、续期、吊销等流程
团队培训：定期组织SSL/TLS协议培训，强化安全意识
预算规划：将证书费用纳入年度IT预算，避免因费用问题导致过期

通过建立预防性监控、自动化续期和应急响应机制的三位一体管理体系，可有效降低证书过期风险。实际运维中，建议结合企业规模选择合适的工具链，小规模团队可采用acme.sh+Cron的轻量方案，中大型企业建议构建完整的证书管理平台，集成监控、告警、自动化续期等功能模块。

SSL证书过期处理全攻略：从预防到应急的完整指南